华为IPSEC 由浅入深

本章只介绍手动协商+隧道

配置案例，兰州分布和上海分布之间建立ipsec vpn 实现内网通信（北京总部可以看作是运营商）

兰州出口路由器配置

sys
sys LZ
acl 3000
rule deny ip destination 20.0.0.1 0.0.0.255
rule permit ip destination any

dhcp enable
ip route-s 0.0.0.0 0 13.0.0.3

vlan 10
int vlan 10
ip add 10.0.0.1 24
dhcp se inter
int g0/0/0
ip add 13.0.0.1/24
nat outbound 3000
int e0/0/0
p l a
p d vlan 10

创建感兴趣流
acl number 3999
rule 5 permit ip destination 20.0.0.1 0.0.0.255

创建安全提议
ipsec proposal LZ2SH
encapsulation-mode tunnel
transform ah
ah authentication-algorithm sha2-256

创建安全策略
ipsec policy LZ2SH 5 manual
security acl 3999
proposal LZ2SH
tunnel local 13.0.0.1
tunnel remote 23.0.0.2
sa spi inbound ah 12345
sa spi outbound ah 54321
sa string-key inbound ah cipher haha
sa string-key outbound ah cipher haha

接口调用
int g0/0/0
ipsec policy LZ2SH

北京模拟运营商配置

sys
sys BJ
int g0/0/0
ip add 13.0.0.3 24
int g0/0/1
ip add 23.0.0.3 24
int lo0
ip add 2.2.2.2 24

上海分布出口路由器配置

sys
sys SH
acl 3000

rule permit ip destination any

dhcp enable
ip route-s 0.0.0.0 0 23.0.0.3
vlan 20
int vlan 20
ip add 20.0.0.1 24
dhcp se inter
int g0/0/0
ip add 23.0.0.2 24
nat outbound 2000
int e0/0/0
p l a
p d vlan 20

创建感兴趣流
acl number 3999
rule 5 permit ip destination 10.0.0.1 0.0.0.255
创建安全提议
ipsec proposal SH2LZ
encapsulation-mode tunnel
transform ah
ah authentication-algorithm sha2-256

创建安全策略
ipsec policy SH2LZ 5 manual
security acl 3999
proposal SH2LZ
tunnel local 23.0.0.2
tunnel remote 13.0.0.1
sa spi inbound ah 54321
sa spi outbound ah 12345
sa string-key inbound ah cipher haha
sa string-key outbound ah cipher haha

接口调用
int g0/0/1
ipsec policy SH2LZ

兰州分部ping上海分部

抓包

简单说一下ah和esp的区别：

（1）AH为IP数据包提供3种服务（统称验证）：数据完整性验证，通过使用Hash函数（如MD5）产生的验证码来实现；数据完整性时加入一个共享的会话密钥来实现；防重放攻击，在AH报头中加入序列号可以防止重放攻击。

（2）ESP除了为IP数据包提供AH上述的3种服务外，还能够提供数据加密

大致的配置思路：

现在主流还是推荐配置IKE协商，ipsec的宗旨是保证数据安全，当然IKE更安全

声明：本文仅提供志同道合的朋友一起学习，记录学习过程，大佬可以提供建议。